Yahoo! User Interface Blog (YUIBlog)

YUI 3.1.1 und 2.8.1 Released YUI

Das Team freigegeben YUI YUI 2.8.1 und 3.1.1 YUI heute. Jede dieser Minor-Releases enthält eine Reihe von gezielten Fehlerkorrekturen. Insbesondere wurde die Geschichte Komponente in beiden Bibliotheken aktualisiert, um ein Problem, das in einer XSS-Schwachstelle in einigen Implementierungen führen könnte, zu korrigieren.

History Issue

Ryan Grove korrigiert ein Problem im Zusammenhang mit YUI 2 Browser History Manager und YUI 3 Geschichte . Schreibt Ryan:

In früheren Versionen YUI, HTML-Markup in der Geschichte Werten war nicht, bevor sie zu einem versteckten iframe in IE6 und IE7, die in Ausführung des Skripts unter bestimmten Umständen ergeben könnten schriftliche entgangen. Ein Angreifer mit der Fähigkeit, ein ungefiltertes Link auf eine Seite, die YUI verwendet 2 Browser History Manager oder YUI 3 Geschichte (zum Beispiel zu erstellen, indem Sie einen Kommentar in einem Blog, wo die Blog-Software nicht ordnungsgemäß filtern Kommentar) könnte theoretisch injizieren, beliebigen HTML-oder Script, das ausgeführt wird, wenn ein Benutzer dann auf diesen Link geklickt haben würde. YUI 2.8.1 und 3.1.1 YUI dieses Problem zu beheben. Zur Abschwächung dieses in Versionen von YUI vor 2.8.1 und 3.1.1, sicherzustellen, dass HTML-Zeichen in Benutzereingaben sind immer entgangen (ob auf dem Server oder auf dem Client), bevor sie verwendet werden, um Links oder Werte Geschichte zu konstruieren.

Diese Updates sind für alle Benutzer dringend von YUI der Browser-History-Funktionalität empfohlen.

YUI 3.1.1

Neben der Geschichte zu beheben, YUI 3.1.1 enthält etwa 20 kleinere Updates in der gesamten Bibliothek. Wenden Sie sich an den YUI 3.1.1 Ticket-Liste für weitere Informationen.

YUI 2.8.1

2.8.1 Probleme gerichtet in YUI gehören die Geschichte Verletzlichkeit und Minor-Updates zu AutoVervollständigen, DataTable, TreeView und Uploader.

Wir haben auch eine Reihe von YUI aktualisiert 2 Beispiele, dass die Flickr API beschäftigen. Diese Beispiele wurden zuvor mit einem Flickr-API-Schlüssel, der zu Beginn überstrapaziert zu werden - vermutlich durch unbeabsichtigtes copy-and-Paste in Drittanbieter-Anwendungen wurde. Wenn Sie feststellen, dass diese Frage sich auf Ihre Bewerbung - bedeutet, Flickr-Bilder sind Ihre nicht mehr erscheinen, oder du bist da Fehler in Zusammenhang mit Flickr-Implementierungen, deren Quelle wurde zB abgeleitet aus einem YUI - Sie sollten über Kopf zu Flickr und abholen eigenen API-Schlüssel .

Finden Gespräche: Bloglines | technorati

Sagen und erweitern: Lesezeichen mit del.icio.us | Digg it! | reddit!